Kemas kini gerbang VPN gagal: baca peringkat sebelum membuka laluan keluar
Kemas kini yang gagal menamakan peringkat, bukan port yang hilang. Padankan mesej dengan pemiliknya, baca laluan proksi, kemudian tentukan dasar penyelenggaraan dengan sengaja.
Enggan memasang kemas kini keselamatan hanya satu minggu buruk daripada menjadi masalah orang lain, dan gerbang yang menerima klien ialah tempat paling mudah untuk membina tabiat itu. Punca biasa bukan laluan yang hilang tetapi keputusan yang hilang: tiada siapa menyatakan bagaimana hos itu sendiri harus mencapai repositori apabila pemajuan klien sengaja sempit. Keputusan itu mesti dibuat secara jelas, dan ia mesti lebih sempit daripada mematikan dasar keluar selama satu petang.
Empat peringkat, empat pemilik berbeza
Kegagalan kemas kini ialah peringkat yang bernama, sama ada mesej menyatakannya atau tidak, dan setiap peringkat milik pemilik yang berbeza. Nama yang tidak dapat diselesaikan ialah persoalan penyelesai. Sambungan yang tamat masa ialah persoalan pengangkutan, proksi atau hujung jauh. Ralat identiti TLS ialah persoalan kepercayaan, dan metadata arkib yang ditolak ialah persoalan tandatangan. Empat peringkat, empat pemilik, dan peraturan port hanya pernah menjawab satu daripadanya.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping dan penyelesaian nama ialah dua ujian yang orang mula-mula gunakan, dan kedua-duanya menjawab soalan yang tiada siapa tanyakan. Balasan gema menggunakan protokol berbeza daripada sambungan repositori, dan carian yang berjaya berhenti pada penyelesaian nama tanpa menguji pengambilan. Kedua-duanya boleh lulus sementara transaksi sebenar gagal, dan kedua-duanya boleh gagal atas sebab yang tiada kaitan dengan laluan.
Baca laluan yang sebenarnya diambil oleh pengurus
Periksa URI sumber yang dikonfigurasikan dan susunan proksi yang berkesan dan bukan menganggap salah satu daripadanya. Peraturan yang ditulis untuk HTTP biasa bukan pembaikan apabila repositori bercakap HTTPS, dan organisasi yang mewajibkan proksi sudah memilih laluan itu. Pengurus pakej mematuhi pemboleh ubah persekitaran dan konfigurasinya sendiri, dan tetapan khusus hos boleh mengatasi tetapan global. Apa yang dilakukan pelayar interaktif tidak semestinya apa yang dilakukan pengurus.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyDokumentasi pengangkutan APT menerangkan tetapan mana yang terpakai untuk skema URI mana dan bagaimana pilihan khusus hos ditulis. Simpan output arahan bersama tiket, kerana ia memisahkan masalah proksi daripada laluan yang hilang lebih cepat daripada berapa banyak hasil ping sekalipun. Catat destinasi, port dan protokol tepat yang dicuba pengurus, dan biarkan perubahan firewall bergantung pada rekod itu dan bukannya alamat cermin tekaan yang menjadi lapuk dalam beberapa bulan.
Pilih dasar penyelenggaraan, bukan pengecualian
Tiga dasar boleh dipertahankan: menyelenggara melalui terowong, menyelenggara melalui proksi kemas kini terurus, atau menyelenggara melalui laluan langsung yang dibenarkan secara sempit. Setiap satu membayangkan susunan penyelesai yang sepadan dengannya. Yang tidak boleh dipertahankan ialah pengecualian yang secara senyap menjadi sandaran tanpa had setiap kali terowong gagal.
Tuliskan dasar yang dipilih bersama pemiliknya, kerana pengendali seterusnya akan menemui peraturan itu dan bukan alasannya. Laksanakan kebenaran melalui firewall sedia ada dan pemilik rangkaian dan bukannya mengosongkan peraturan atau menambah pengurus dasar kedua untuk satu hos. Liputi keluarga alamat dan titik akhir perkhidmatan yang digunakan oleh sumber sebenar, dan semak semula senarai itu apabila repositori berpindah.
Sahkan tanpa melemahkan kepercayaan
Kejayaan pengangkutan bukan kebenaran untuk melonggarkan pengesahan: pengesahan arkib dan identiti pelayan TLS ialah dua pemeriksaan berbeza, dan melumpuhkan mana-mana satu membuat ralat hilang sambil mengubah apa yang akan diterima hos. Proksi yang memintas ialah keputusan kepercayaan pemilik rangkaian dan bukan alasan untuk mematikan pemeriksaan secara setempat, dan kelayakan repositori tidak wajar berada dalam diagnostik dikongsi kerana log terperinci ialah tempat paling mudah untuk membocorkannya.
Terima perubahan itu dengan pengambilan metadata terkawal diikuti satu transaksi pakej yang diluluskan, kemudian uji apa yang berlaku apabila terowong terputus. Laluan penyelenggaraan yang secara senyap melebar semasa gangguan lebih teruk daripada laluan yang gagal tertutup, dan hasilnya sepatutnya laluan kemas kini dengan pemilik bernama dan skop terhad.